Ransomware as a Service (RaaS) : ce que les entreprises doivent savoir

Les cybercriminels exploitent les failles de sécurité pour infecter des ordinateurs avec des ransomwares, détruire des données et exiger une rançon. Le « Ransomware as a Service » (RaaS) est une nouvelle branche de l’évolution des ransomwares qui rend ces derniers plus agiles, leur permettant ainsi de se propager facilement et d’infecter davantage d’ordinateurs. Cet article explique ce qu’est le RaaS, comment il fonctionne et comment les entreprises peuvent protéger leur environnement contre ce nouveau type de ransomware.

Dites non aux demandes de rançon avec NAKIVO

Utilisez des sauvegardes pour une récupération rapide des données après une attaque par ransomware. Plusieurs options de récupération, un stockage local et dans le cloud immuable, des fonctionnalités d'automatisation de la récupération, et bien plus encore.

DÉCOUVREZ LA SOLUTION

Qu’est-ce que le « Ransomware as a Service » (RaaS) ?

Le « Ransomware as a Service » (RaaS) est un modèle économique de cybercriminalité dans lequel les développeurs de ransomware louent leurs logiciels malveillants à d’autres cybercriminels (appelés « affiliés ») en échange d’un partage des bénéfices générés par les attaques réussies ou d’autres paiements. Le principe du « ransomware as a service » est similaire à celui du « Saas » (Software as a Service) dans les entreprises légales. Alors que le Saas peut présenter des avantages, le RaaS est illégal, dangereux et dévastateur.

Le RaaS fonctionne par le biais d’abonnements, de redevances de licence ou de programmes d’affiliation. Les utilisateurs (affiliés) ont accès à des kits de ransomware prêts à l’emploi, à des tableaux de bord et à une assistance technique. Certains fournisseurs de RaaS proposent même une assistance technique 24 heures/24 et 7 jours/7. Les affiliés mènent l’attaque et tirent profit de l’extorsion sans avoir à développer leur propre logiciel malveillant. Les développeurs de ransomware augmentent leurs bénéfices car ils n’ont pas besoin d’attaquer eux-mêmes les réseaux ni d’y consacrer du temps. Ces facteurs font du modèle RaaS une solution mutuellement avantageuse pour les cybercriminels.

Comment fonctionne le « Ransomware as a Service » ?

Le « Ransomware as a Service » (RaaS) fonctionne comme une entreprise Saas commerciale, mais est utilisé à des fins criminelles. Les cybercriminels ont mis en place une division du travail pour gagner en efficacité : les développeurs de ransomware écrivent le code malveillant, tandis que les affiliés élaborent des méthodes d’attaque plus sophistiquées et lancent les attaques par ransomware. Voyons comment fonctionne le « Ransomware as a Service ».

Création de la plateforme RaaS

• Les développeurs créent le code du ransomware.
• Ils mettent en place une plateforme (souvent sur le dark web) qu’ils proposent aux affiliés. La plateforme peut inclure :
  • Un panneau de contrôle ou un tableau de bord ;
  • Des options de personnalisation (montant de la rançon, Types de cibles, paramètres de chiffrement) ;
  • Une documentation d’assistance et des mises à jour.

Recrutement d’affiliés

• Les opérateurs RaaS recrutent des affiliés et d’autres cybercriminels souhaitant utiliser le ransomware.
• Les affiliés s’inscrivent sur le portail RaaS et peuvent payer :
  • Un abonnement mensuel.
  • Un paiement unique. Les affiliés paient une seule fois et partagent un pourcentage des rançons versées avec les opérateurs.
  • Partage des bénéfices par la conclusion d’un accord de partage des revenus (par exemple, 70 % pour l’affilié, 30 % pour le développeur).

  Les créateurs de ransomware développent des campagnes publicitaires pour leurs plateformes RaaS et mènent des campagnes marketing sur le dark web, notamment sur des forums clandestins. Ils s’efforcent activement de recruter de nouveaux affiliés et de lancer davantage d’attaques par ransomware.

Exécution des attaques par les affiliés

• Les affiliés lancent des attaques à l’aide de la boîte à outils de ransomware.
• Méthodes de diffusion courantes :
  • E-mails de hameçonnage contenant des pièces jointes ou des liens malveillants ;
  • Exploitation de failles logicielles ;
  • Sites web compromis ou attaques par force brute via le protocole RDP (Remote Desktop Protocol).
• Une fois exécuté, le ransomware chiffre les fichiers de la victime et affiche une demande de rançon exigeant un paiement (généralement en cryptomonnaies comme le Bitcoin).

Paiement de la rançon

• Les victimes sont redirigées vers un portail de paiement (souvent accessible via le réseau TOR) où elles peuvent s’acquitter de la rançon. Les paiements sont généralement effectués en cryptomonnaies, car celles-ci sont difficiles à tracer.
• Certaines opérations RaaS proposent un service d’assistance permettant aux victimes d’obtenir des instructions de paiement ou une « preuve de déchiffrement ».

Partage des revenus

• Une fois la rançon versée :
  • L’affilié et le fournisseur RaaS se partagent automatiquement l’argent selon les termes de leur accord.
  • L’affilié peut recevoir des outils pour effectuer le déchiffrement des fichiers et les envoyer à la victime.

Évolution continue

• Les développeurs RaaS continuent de mettre à jour le ransomware pour éviter qu’il ne soit détecté par les logiciels antivirus.
• Ils peuvent également améliorer les fonctionnalités, prendre en charge de nouvelles cryptomonnaies ou proposer de nouveaux exploits.

Le RaaS a industrialisé la cybercriminalité en faisant du ransomware un service « prêt à l’emploi ». Il permet à toute personne, même sans compétences techniques, de tirer profit des cyberattaques, ce qui aggrave considérablement le paysage des menaces.

Groupes et variantes notables de RaaS

Certains créateurs de ransomware bien connus comptent également parmi les principaux fournisseurs de « Ransomware as a Service ». Le modèle RaaS permet aux gangs et aux groupes criminels organisés de mener des attaques destructrices.

REvil (Sodinokibi)

REvil est connu pour avoir exigé la plus importante rançon jamais enregistrée. Ce « ransomware as a service » a principalement sévi entre 2019 et 2021. REvil utilise la tactique de la double extorsion : le chiffrement des fichiers et la menace de divulgation des données. Il proposait même un portail convivial destiné à ses affiliés.

Attaques notables :

• JBS (le plus grand fournisseur mondial de viande)
• Attaque de la chaîne d’approvisionnement du logiciel Kaseya VSA

Origine : vraisemblablement la Russie.

Statut : démantelé par les forces de l’ordre internationales.

DarkSide

DarkSide a été actif en 2020 et 2021. Ce RaaS affirmait éviter les cibles dans les secteurs de la santé et de l’éducation. DarkSide fonctionnait comme une entreprise, avec un service de relations publiques et de prise en charge. L’attaque la plus marquante a visé Colonial Pipeline, provoquant des pénuries de carburant aux États-Unis. Les techniques Salsa20 et le chiffrement RSA ont été utilisés.

Origine : groupe lié à la Russie.

Statut : fermé après le tollé suscité par l’attaque contre Colonial Pipeline, mais des vestiges ont changé de nom (par exemple, BlackMatter).

LockBit

LockBit a été lancé en 2019 et est toujours actif aujourd’hui. Parmi ses attaques notables, on peut citer celles contre Accenture, Royal Mail UK et certaines agences gouvernementales. LockBit 3.0 a ajouté des programmes de prime aux bogues et des sites de fuite de données. Le modèle « Ransomware as a Service » (RaaS) offre une automatisation et des outils d’affiliation personnalisables. En 2022, LockBit était le ransomware le plus populaire au monde.

Origine : probablement d’Europe de l’Est.

Statut : toujours actif, malgré des démantèlements (en 2025).

Conti

Le ransomware Conti a été actif entre 2020 et 2022 et l’Health Service Executive (HSE) irlandais a été l’une de ses cibles notables. Les cybercriminels utilisaient des tactiques de double extorsion et leur propre infrastructure (non basée sur TOR). Des fuites concernant Conti ont révélé des journaux de discussion internes en 2022.

Origine : lié à la Russie, peut-être un successeur de Ryuk.

Statut : Dissous, de nombreux membres ont probablement rejoint d’autres groupes.

BlackCat (ALPHV)

BlackCat travaille depuis 2021 et a été utilisé pour mener des attaques couronnées de succès contre des universités, des établissements de santé et des infrastructures critiques. Il a été écrit en Rust, ce qui le rend plus difficile à détecter. Ce ransomware utilise la triple extorsion : chiffrement, vol de données et menaces DDoS.

Origine : anciens affiliés présumés de DarkSide ou REvil.

Statut : Actif et en constante évolution.

Hive

Le ransomware Hive a été actif de 2021 à 2023 et a été utilisé pour attaquer le secteur de la santé, notamment des hôpitaux. Il est connu pour son chiffrement rapide et le vol de données. Ce ransomware utilisait le protocole RDP (Remote Desktop Protocol), des protocoles de connexion à distance et des VPN pour obtenir un accès initial au réseau de la victime. Le FBI a saisi l’infrastructure de ce « ransomware as a service » (RaaS) en janvier 2023.

Les groupes de ransomware changent souvent de nom, fusionnent ou réapparaissent sous de nouvelles appellations. L’écosystème RaaS est résilient et ne cesse d’évoluer, les nouveaux groupes s’inspirant fréquemment des tactiques de leurs prédécesseurs.

Pourquoi le RaaS constitue une menace croissante pour la cybersécurité

Le « ransomware as a service » (RaaS) accroît la fréquence, l’ampleur et les dégâts des cyberattaques en rendant les ransomwares accessibles. L’approche traditionnelle nécessite des compétences pointues et davantage de temps pour mener à bien une attaque. Les plateformes proposent souvent des guides étape par étape, une assistance technique et des tableaux de bord conviviaux.

Plusieurs affiliés peuvent utiliser la même variante de ransomware pour cibler simultanément des centaines, voire des milliers de victimes. Ce « modèle de franchise » augmente considérablement le volume et la portée géographique des attaques. Un grand nombre de groupes RaaS fonctionnent comme des entreprises Saas légitimes, proposant :

• Différents niveaux de service (basique ou premium)
• Des processus de sélection des affiliés
• Des services de négociation avec les victimes
• Des services d’assistance permettant aux victimes de payer les rançons

Cette professionnalisation rend les services plus fiables et plus attractifs pour les cybercriminels potentiels. Les groupes RaaS opèrent sur le dark web en utilisant des outils de communication et de paiement anonymisés. Les affiliés peuvent être répartis dans différents pays, ce qui complique la tâche des forces de l’ordre.

Les affiliés et les développeurs se partagent les rançons colossales, qui s’élèvent parfois à plusieurs millions de dollars par attaque. Les cryptomonnaies facilitent l’exigence et le blanchiment anonymes des rançons. Le RaaS permet aux attaquants de cibler un large éventail de cibles. Les secteurs qui manquent souvent de ressources pour se défendre pleinement contre de telles menaces et qui sont plus enclins à payer figurent parmi les cibles privilégiées.

Si un développeur RaaS est arrêté, les affiliés peuvent trouver un autre fournisseur pour reprendre leurs activités. À l’inverse, les développeurs de ransomware peuvent en engager un autre si un affilié est arrêté et incarcéré. Ce facteur rend le « Ransomware as a Service » plus résilient.

Les développeurs de RaaS mettent fréquemment à jour leurs logiciels malveillants pour échapper à la détection. Ils comprennent :

• Vulnérabilités « zero-day »
• Techniques d’obfuscation
• Chiffrement avancé
• Certains créateurs de RaaS proposent même des programmes de prime aux bogues destinés à d’autres cybercriminels afin d’améliorer leurs outils.

Le RaaS démocratise la cybercriminalité, transformant le ransomware en produit de grande consommation. Sa disponibilité généralisée est à l’origine d’une épidémie mondiale d’attaques, ce qui en fait l’une des menaces qui connaît la croissance la plus rapide dans le domaine de la cybersécurité aujourd’hui.

Risques commerciaux et pièges liés aux attaques RaaS

Le « Ransomware as a Service » (RaaS) présente de graves risques commerciaux bien plus dangereux que de simples perturbations temporaires des services. Une attaque par ransomware réussie peut paralyser les activités, nuire à la réputation d’une organisation et entraîner des conséquences financières et juridiques à long terme.

Une perturbation opérationnelle survient lorsque les systèmes, les applications et les fichiers deviennent inaccessibles après une attaque par ransomware qui effectue le chiffrement ou la destruction des fichiers. En conséquence, les activités de l’entreprise peuvent être interrompues pendant des heures, des jours ou des semaines.

Les pertes financières comprennent les dommages directs et indirects. Ces coûts peuvent inclure :

• le paiement de rançons, souvent effectué en cryptomonnaie sans aucune garantie de récupération.
• Les coûts de la récupération. Si vous perdez des données uniques, il est difficile de les recréer. Auparavant, il était possible de restaurer certaines données après des attaques par ransomware en connaissant quelques astuces publiées par des experts en cybersécurité. Cependant, de nos jours, de tels scénarios de récupération sont rares.
• Temps d’arrêt et perte de productivité. Les clients peuvent renoncer à acheter vos produits et services après avoir pris connaissance d’une interruption de service causée par une attaque par ransomware.
• Réponse aux incidents de cybersécurité. Une organisation peut avoir besoin de logiciels et de matériel supplémentaires pour rétablir son fonctionnement normal après une attaque par ransomware.
• Coûts supplémentaires : Le recours à des experts tiers, à des conseillers juridiques ou à des négociateurs entraîne des frais supplémentaires.

Le non-respect des réglementations en matière de protection des données (par exemple, GDPR, HIPAA, CCPA) peut entraîner des conséquences juridiques et réglementaires. Parmi les problèmes potentiels figurent les notifications obligatoires de violation de données, les poursuites judiciaires intentées par des clients ou des partenaires, ainsi que les amendes et sanctions légales. Les ransomwares les plus dangereux recourent à des tactiques de double ou triple extorsion lorsque les données sont volées avant leur chiffrement.

Les organisations qui paient la rançon peuvent devenir des cibles récurrentes, en particulier si elles ne corrigent pas les vulnérabilités existantes. Même après la restauration des systèmes, des logiciels malveillants cachés ou des portes dérobées peuvent subsister. Cela peut nuire à la réputation de l’entreprise et entraîner une perte de confiance de la part des clients et des investisseurs. Certaines politiques d’assurance cyber ne couvrent pas les ransomwares ou imposent des conditions strictes.

Comment protéger votre organisation contre le RaaS

Les mesures de protection contre le « Ransomware as a Service » (RaaS) sont identiques aux mesures habituelles de protection contre les ransomwares. Les organisations doivent mettre en œuvre une stratégie multicouche combinant technologie, processus et ressources humaines. Vous devez ériger suffisamment d’obstacles entre les pirates (affiliés) et les ressources réseau de l’organisation.

• Protégez tous les ordinateurs au sein de votre organisation en installant un logiciel antivirus fiable et moderne (y compris sur les ordinateurs des télétravailleurs).
• Configurez des pare-feu pour protéger votre réseau. Fermez les ports inutilisés et configurez les règles de pare-feu. Utilisez la segmentation du réseau pour limiter la propagation des ransomwares en cas d’infection.
• Sensibilisez les utilisateurs afin qu’ils puissent repérer les premiers signes d’attaques par ransomware. Les utilisateurs doivent apprendre comment les ransomwares peuvent se propager et connaître les principaux vecteurs d’attaque, tels que les e-mails de hameçonnage, les liens malveillants et les techniques d’ingénierie sociale. La plupart des attaques RaaS trouvent leur origine dans le phishing ou une erreur humaine.
• Configurez une protection contre les logiciels malveillants pour les e-mails à l’aide de filtres anti-spam et d’outils de cybersécurité.
• Configurez un Contrôle d’accès basé sur les rôles. Utilisez des mots de passe forts, difficiles à pirater. Utilisez authentification à plusieurs facteurs pour les services les plus critiques, tels que les adresses e-mail. Le principe du privilège minimal et l’architecture « zero-trust » constituent des mesures efficaces contre les services de ransomware. Les affiliés RaaS exploitent souvent des identifiants de connexion faibles ou réutilisés.

  

• Installez les correctifs de sécurité pour corriger les vulnérabilités logicielles des systèmes d’exploitation, des applications et des micrologiciels. Cela permet de réduire la surface d’attaque du réseau. Les kits RaaS utilisent souvent des exploits connus pour s’introduire dans les systèmes vulnérables.
• Surveillez l’infrastructure informatique. Configurer la surveillance Utilisez des logiciels pour surveiller la charge du réseau, du processeur et du stockage afin de détecter toute activité anormale pouvant être le signe d’une attaque par ransomware (le chiffrement des fichiers sollicite considérablement le processeur et le disque). Surveillez les schémas de connexion inhabituels et les tentatives de connexion infructueuses pour détecter tout accès non autorisé. Une détection précoce peut bloquer le ransomware avant que le chiffrement ne commence.
• Sauvegardez régulièrement vos données. Effectuez tests de sauvegarde pour vous assurer de pouvoir réaliser la récupération de vos données en cas de sinistre. Les sauvegardes constituent la dernière ligne de défense en cas de chiffrement.
• Élaborez un plan d’intervention en cas d’incident, plan de reprise après sinistre et plan de continuité des activités. Être préparé peut réduire considérablement les temps d’arrêt et les dommages.

Le rôle des sauvegardes dans la résilience face aux ransomwares

Les sauvegardes sont essentielles pour protéger les données contre les ransomwares, y compris les attaques menées à l’aide de ransomwares en tant que service (RaaS). Une solution de sauvegarde fiable stratégie de sauvegarde permet aux entreprises d’éviter de payer la rançon et de réaliser rapidement la récupération de leurs données.

Lorsque vous disposez d’une sauvegarde, vous pouvez :

• Restaurer des données chiffrées ou supprimées sans la clé de déchiffrement. Cela minimise le risque financier et éthique lié au paiement des cybercriminels.
• Utiliser un système de sauvegarde fiable pour reprendre rapidement vos activités et minimiser les temps d’arrêt. En fonction des capacités de récupération, les temps d’arrêt peuvent être réduits de plusieurs jours ou semaines à quelques heures.
• Bénéficiez d’une récupération rentable.

Investir dans un système de sauvegarde robuste revient bien moins cher que de payer une rançon, de faire face à des temps d’arrêt ou de subir des sanctions réglementaires.

Suivez les bonnes pratiques recommandées pour la protection contre les ransomwares à l’aide de sauvegardes :

• Suivez le Règle de sauvegarde du 3-2-1. Conservez trois copies de vos données sur deux types de supports différents, dont une copie hors site ou hors ligne.
• Configurez une planifier le calendrier de sauvegarde régulière pour minimiser les pertes de données.
• Utilisez sauvegardes immuables pour empêcher les ransomwares de chiffrer ou de supprimer les sauvegardes.
• Utilisez des sauvegardes hors ligne ou sauvegardes isolées pour conserver une copie totalement déconnectée du réseau.
• Effectuez des sauvegardes automatisées. Cette pratique réduit les erreurs humaines et garantit la cohérence.
• Activez la sauvegarde chiffrement pour protéger les données au repos et en transit.
• Testez les sauvegardes et les procédures de récupération pour vous assurer que les sauvegardes fonctionnent et peuvent être récupérées rapidement.
• Utilisez un contrôle d’accès ségrégué et limitez l’accès aux systèmes de sauvegarde afin de réduire les menaces internes.

Il existe certaines pratiques à éviter :

• Se fier uniquement à sauvegardes dans le cloud (ces derniers peuvent également être ciblés) ;
• Ne pas tester régulièrement la récupération ;
• Conserver les systèmes de sauvegarde sur le même réseau que les systèmes de production ;
• Ne pas détecter le ransomware ayant déjà infecté les données de sauvegarde.

Les entreprises disposant de sauvegardes sécurisées, testées et isolées peuvent réaliser une récupération complète sans payer la rançon. Celles qui n’en disposent pas sont souvent confrontées à des pertes catastrophiques, à des semaines d’indisponibilité ou à une perte définitive de données. Les sauvegardes ne sont pas seulement une mesure de précaution, mais un élément central de toute stratégie de résilience face au ransomware. Cependant, elles ne sont efficaces que si elles sont fréquentes, sécurisées, testées et isolées.

L’avenir du « ransomware as a service » (RaaS)

Le RaaS entraînera probablement des menaces plus avancées, plus répandues et plus persistantes, à mesure que les cybercriminels continueront à développer leurs tactiques et leur infrastructure. Dans les années à venir, nous pouvons nous attendre aux fonctionnalités suivantes :

• Des logiciels malveillants plus sophistiqués . Les ransomwares dotés d’intelligence artificielle (ransomwares basés sur l’IA) pourraient automatiser la sélection des cibles, les schémas de chiffrement et les tactiques d’évasion. Les outils RaaS avancés pourraient intégrer l’apprentissage automatique pour contourner les défenses de sécurité de manière plus intelligente.
• Une professionnalisation accrue de la cybercriminalité . Les opérations RaaS prendront un caractère encore plus « d’entreprise », proposant des formules tarifaires à plusieurs niveaux, des accords de niveau de service et des portails de service client. La tendance est que les groupes RaaS fonctionneront comme des fournisseurs Saas du marché noir. Les tactiques de pression deviendront plus personnalisées et plus agressives.
• Ciblage des infrastructures critiques et des systèmes de technologie opérationnelle . Les groupes RaaS cibleront les systèmes de contrôle industriels dans les secteurs de l’énergie, des transports et de la santé, en particulier les systèmes obsolètes et moins sécurisés. L’accent est désormais mis sur les secteurs à fort impact qui ont des besoins urgents en matière de disponibilité.
• Recours accru aux courtiers en accès initiaux . Des cybercriminels spécialisés peuvent vendre l’accès à des systèmes déjà compromis. Ainsi, les affiliés RaaS peuvent éviter l’étape d’infiltration initiale et passer directement au déploiement.
• Des mesures de protection des données renforcées . Les organisations doivent mettre en œuvre des mesures de protection des données et des systèmes de cybersécurité plus fiables, notamment des logiciels utilisant des mécanismes basés sur l’IA pour la détection précoce des ransomwares. L’accent sera mis sur la résilience et la récupération, et non plus uniquement sur la prévention. Stratégies défensives évoluera en réponse aux menaces avancées. Les polices d’assurance cyber pourraient décourager ou restreindre le paiement des rançons.

Conclusion

Le « Ransomware as a Service » (RaaS) représente la phase moderne du développement des ransomwares, avec une organisation distribuée et plus efficace que celle des ransomwares traditionnels. Le RaaS permet aux cybercriminels de lancer davantage d’attaques, ce qui signifie que les organisations doivent mieux protéger leurs infrastructures. La sauvegarde des données est l’une des mesures de protection des données les plus importantes, en plus des mesures préventives de cybersécurité. Investissez dans des solutions fiables de protection des données telles que NAKIVO Backup & Replication, effectuez des sauvegardes régulières, suivez les bonnes pratiques et évitez de payer une rançon en cas d’attaque.

Essayez NAKIVO Backup & Replication

Profitez d'un essai gratuit pour découvrir toutes les fonctionnalités de protection des données de la solution. 15 jours gratuits. Aucune limitation en termes de fonctionnalités ou de capacité. Aucune carte bancaire requise.

Essayez gratuitement